PRINCIPES DU CADRE DE PROTECTION DES DONNÉES UE — ÉTATS-UNIS PUBLIÉS PAR LE MINISTÈRE AMÉRICAIN DU COMMERCE
I. VUE D’ENSEMBLE
1. Même si les États-Unis et l’Union européenne (ci-après l’«Union») ont comme engagement commun de protéger davantage la vie privée et l’état de droit et reconnaissent l’importance des flux de données transatlantiques pour leurs citoyens, économies et sociétés respectifs, les États-Unis préconisent une approche en matière de protection de la vie privée différente de celle de l’Union. Ils se basent, en effet, sur un système sectoriel qui fait appel à un ensemble disparate de dispositions législatives et réglementaires ainsi qu’à des codes d’autoréglementation. Le ministère américain du commerce (ci-après le «ministère») publie les principes du cadre de protection des données UE — États-Unis, y compris les principes complémentaires (ci-après collectivement dénommés les «principes») et l’annexe I des principes (ci-après l’«annexe I») en vertu de sa compétence légale pour encourager, promouvoir et développer le commerce international (15 U.S.C. § 1512). Les principes ont été élaborés en concertation avec la Commission européenne (ci-après la «Commission»), le secteur d’activité concerné et d’autres parties intéressées dans le but de faciliter le commerce et les relations d’affaires entre les États-Unis et l’Union. Les principes, un élément clé du cadre de protection des données UE — États-Unis (ci-après le «CPD UE — États-Unis») offrent aux organisations établies aux États-Unis un mécanisme fiable pour les transferts de données à caractère personnel vers les États-Unis depuis l’Union tout en veillant à ce que les personnes concernées de l’Union continuent de bénéficier de garanties et de protections efficaces comme l’exige la législation européenne en ce qui concerne le traitement de leurs données à caractère personnel transférées vers des pays non membres de l’Union. Les principes sont exclusivement destinés aux organisations éligibles établies aux États-Unis recevant des données à caractère personnel en provenance de l’Union, aux fins de leur permettre d’adhérer au CPD UE — États-Unis et de bénéficier ainsi de la décision d’adéquation de la Commission. Les principes n’ont aucune incidence sur l’application du règlement (UE) 2016/679 (ci-après le «règlement général sur la protection des données» ou le «RGPD»), qui s’applique au traitement des données à caractère personnel dans les États membres de l’Union. Ils ne limitent pas non plus les obligations en matière de protection de la vie privée applicables par ailleurs en vertu de la législation des États-Unis.
2. Pour pouvoir se prévaloir du CPD UE — États-Unis afin de transférer des données à caractère personnel depuis l’Union, une organisation doit autocertifier son adhésion aux principes auprès du ministère (ou auprès de la personne désignée par celui-ci). Si la décision d’adhérer au CPD UE — États-Unis est entièrement volontaire, le respect de ses règles est quant à lui obligatoire: les organisations qui autocertifient leur adhésion auprès du ministère et qui annoncent publiquement leur engagement à respecter les principes sont tenues de se conformer pleinement à ces derniers. Pour adhérer au CPD UE — États-Unis, une organisation doit: a) être soumise aux pouvoirs d’enquête et aux pouvoirs répressifs de la Commission fédérale du commerce (ci-après la «FTC»), du ministère des transports ou d’un autre organisme officiel qui garantira concrètement le respect des principes (d’autres organes officiels américains reconnus par l’Union européenne peuvent être inclus sous forme d’une annexe à l’avenir); b) déclarer publiquement son engagement à respecter les principes; c) publier sa politique en matière de protection de la vie privée, qui doit être conforme aux principes; et d) appliquer les principes dans leur intégralité. Tout manquement d’une organisation au respect de ces conditions peut être sanctionné par la FTC conformément à l’article 5 du Federal Trade Commission Act (ci-après le «FTC Act», qui interdit les pratiques déloyales ou frauduleuses dans le domaine du commerce (15 U.S.C. § 45); par le ministère des transports en vertu du titre 49, section 41712, de l’U.S.C. qui interdit aux transporteurs et aux agents de billetterie toute pratique déloyale ou frauduleuse ou tout acte de concurrence déloyale relative au transport aérien ou à la vente de transport aérien; ou en vertu de toute autre loi interdisant de tels actes.
3. Le ministère tiendra et mettra à la disposition du public une liste officielle des organisations des États-Unis qui ont autocertifié leur adhésion auprès du ministère et qui ont déclaré leur engagement à respecter les principes (la «liste du cadre de protection des données»). Une organisation peut prétendre aux avantages offerts par le CPD UE — États-Unis dès le moment où le ministère l’inscrit sur la liste du cadre de protection des données. Le ministère supprimera une organisation de la liste du cadre de protection des données si cette organisation se retire volontairement du CPD UE — États-Unis ou si elle manque à son obligation de recertification annuelle auprès du ministère; l’organisation doit alors continuer d’appliquer les principes aux informations à caractère personnel qu’elle a reçues alors qu’elle participait au CPD UE — États-Unis et déclarer annuellement au ministère son engagement à le faire (c’est-à-dire aussi longtemps qu’elle conserve ces informations), ou assurer une protection «adéquate» des informations par un autre moyen autorisé (par exemple en utilisant un contrat qui reflète pleinement les exigences des clauses contractuelles standard adoptées par la Commission européenne), ou restituer ou supprimer les informations concernées. Le ministère supprimera également de la liste du cadre de protection des données les organisations qui, de manière récurrente, ne respectent pas les principes; ces organisations doivent restituer ou supprimer les informations à caractère personnel qu’elles ont reçues alors qu’elles participaient au CPD UE — États-Unis. La suppression d’une organisation de la liste du cadre de protection des données a pour conséquence que cette organisation ne peut plus prétendre au bénéfice de la décision d’adéquation de la Commission pour recevoir des informations à caractère personnel en provenance de l’Union.
4. Le ministère tiendra et mettra également à la disposition du public une liste officielle des organisations des États-Unis qui avaient précédemment autocertifié leur adhésion auprès du ministère mais qui ont été supprimées de la liste du cadre de protection des données. Le ministère publiera une mise en garde claire indiquant que ces organisations ne participent pas au CPD UE — États-Unis, que leur suppression de la liste du cadre de protection des données signifie qu’elles ne peuvent pas prétendre se conformer au CPD UE — États-Unis et qu’elles doivent éviter toute déclaration ou toute pratique trompeuse qui laissent entendre qu’elles participent au CPD UE — États-Unis, et qu’elles ne peuvent plus prétendre au bénéfice de la décision d’adéquation de la Commission pour recevoir des informations à caractère personnel en provenance de l’Union. Toute organisation qui continue de prétendre participer au CPD UE — États-Unis ou qui fait d’autres déclarations trompeuses relatives au CPD UE — États-Unis après avoir été supprimée de la liste du cadre de protection des données est susceptible de faire l’objet de mesures répressives de la part de la FTC, du ministère des transports ou d’autres autorités répressives.
5. L’adhésion aux principes peut être limitée: a) à la mesure nécessaire pour se conformer à une décision de justice ou pour répondre à des exigences relatives à l’intérêt public, au respect de la législation ou à la sécurité nationale, y compris lorsque les textes législatifs ou les règlements administratifs créent des obligations contradictoires; b) par des textes législatifs, des décisions de justice ou des règlements administratifs qui créent des autorisations explicites, pour autant qu’une organisation qui s’appuie sur une telle autorisation puisse démontrer que le non-respect des principes est limité à la mesure nécessaire pour garantir les intérêts légitimes supérieurs que cette autorisation vise à servir; ou c) par les exceptions ou les dérogations prévues par le RGPD, dans les conditions qui y sont énoncées, pour autant que ces exceptions ou dérogations soient appliquées dans des contextes comparables. Dans ce contexte, les garanties prévues par le droit américain pour protéger la vie privée et les libertés civiles comprennent celles requises par le décret présidentiel 14086 dans les conditions qui y sont énoncées (notamment les exigences de nécessité et de proportionnalité). Conformément à l’objectif d’un renforcement de la protection de la vie privée, les organisations devraient s’atteler à appliquer ces principes de manière complète et transparente, y compris en s’efforçant d’indiquer dans leur politique en matière de protection de la vie privée dans quels domaines les exceptions visées au point b) ci-dessus s’appliqueront. Pour la même raison, lorsque les principes et/ou les lois des États-Unis permettent aux organisations de faire un choix, celles-ci sont invitées à opter, dans la mesure du possible, pour le niveau de protection le plus élevé.
6. Les organisations sont tenues d’appliquer les principes à toutes les données à caractère personnel transférées sur la foi du CPD UE — États-Unis après leur adhésion à celui-ci. Les organisations qui décident d’étendre les avantages du CPD UE — États-Unis à des informations à caractère personnel tirées de fichiers qui concernent les ressources humaines en provenance de l’Union afin de les utiliser dans le cadre d’une relation de travail doivent mentionner cette intention lorsqu’elles autocertifient leur adhésion auprès du ministère et doivent se conformer aux exigences exposées dans le principe complémentaire relatif à l’autocertification.
7. Le droit des États-Unis est applicable en ce qui concerne l’interprétation et le respect des principes et des politiques pertinentes en matière de protection de la vie privée par les organisations participant au CPD UE — États-Unis, à l’exception des cas dans lesquels les organisations se sont engagées à coopérer avec les autorités européennes chargées de la protection des données (ci-après les «APD»). Sauf indication contraire, toutes les dispositions des principes sont applicables lorsqu’elles sont pertinentes.
8. Définitions:
a. Par «donnée à caractère personnel» et «information à caractère personnel», il faut entendre toute donnée ou information concernant une personne identifiée ou identifiable qui entre dans le champ d’application du RGPD, qui est transférée de l’Union vers une organisation aux États-Unis et qui est enregistrée sous quelque forme que ce soit.
b. Par «traitement de données à caractère personnel», il faut entendre toute activité ou ensemble d’activités effectuées ou non à l’aide de procédés automatisés et appliquées à des données à caractère personnel, telles que la collecte, l’enregistrement, l’organisation, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication, la diffusion, l’effacement ou la destruction.
c. Par «responsable du traitement», il faut entendre la personne ou l’organisation qui, seule ou conjointement avec d’autres, détermine les finalités et moyens du traitement de données à caractère personnel.
9. La date d’entrée en vigueur des principes et de l’annexe I des principes est la date d’entrée en vigueur de la décision d’adéquation de la Commission européenne.
II. PRINCIPES
1. NOTIFICATION
a. Toute organisation doit informer les personnes concernées:
i. de sa participation au CPD UE — États-Unis, en fournissant un lien vers la liste du cadre de protection des données ou l’adresse web de celle-ci,
ii. des types de données à caractère personnel collectées et, le cas échéant, des entités ou filiales américaines de l’organisation qui adhèrent également aux principes;
iii. de son engagement à appliquer les principes à toutes les données à caractère personnel reçues depuis l’Union européenne sur la foi du CPD UE — États-Unis;
iv. des fins auxquelles elle collecte et utilise des informations à caractère personnel les concernant;
v. de la façon de contacter l’organisation pour toute question ou réclamation, y compris les coordonnées de tout établissement situé dans l’Union européenne qui soit en mesure de répondre à ces questions ou réclamations;
vi. du type ou de l’identité des tiers auxquels elle divulgue des informations à caractère personnel et des fins auxquelles elle leur communique ces informations;
vii. du droit d’accès des personnes à leurs données à caractère personnel;
viii. des possibilités et moyens offerts par l’organisation aux personnes pour restreindre l’utilisation et la divulgation de leurs données à caractère personnel;
ix. de l’organe indépendant de règlement des litiges désigné pour traiter les réclamations et mettre gratuitement à la disposition des personnes des voies de recours appropriées, en précisant si cet organe est: 1) le panel établi par les autorités chargées de la protection des données, 2) un organe de règlement extrajudiciaire des litiges établi dans l’Union ou 3) un organe de règlement extrajudiciaire des litiges établi aux États-Unis;
x. du fait qu’elle est soumise aux pouvoirs d’enquête et aux pouvoirs répressifs de la FTC, du ministère des transports ou de tout autre organisme officiel américain;
xi. de la possibilité pour la personne, sous certaines conditions, de faire appel à un arbitrage contraignant;
xii. de l’obligation de divulguer les informations à caractère personnel en réponse à des demandes légales formulées par les pouvoirs publics, notamment pour répondre à des besoins de sécurité nationale ou d’application des lois; et
xiii. de sa responsabilité en cas de transferts ultérieurs à des tiers.
b. Cette notification doit être communiquée de manière claire et visible aux personnes lorsque celles-ci sont invitées pour la première fois à fournir des informations à caractère personnel ou dès que possible après cette invitation et, en tout état de cause, avant que les données ne soient utilisées dans un but différent de celui pour lequel elles ont été initialement collectées ou traitées par l’organisation ayant effectué le transfert ou avant qu’elles ne soient diffusées pour la première fois à un tiers.
2. CHOIX
a. Toute organisation doit offrir aux personnes la possibilité d’accepter ou non que leurs informations à caractère personnel: i) soient divulguées à un tiers; ou ii) soient utilisées dans un but matériellement différent du ou des objectifs pour lesquels elles ont été initialement collectées ou du ou des objectifs approuvés ultérieurement par les personnes concernées. Les personnes concernées doivent disposer de mécanismes clairs, visibles et d’accès facile pour opérer leur choix.
b. Par dérogation au paragraphe précédent, il n’est pas nécessaire d’offrir un choix quand des données sont communiquées à un tiers qui est chargé d’effectuer des travaux pour le compte et selon les instructions de l’organisation. Dans ce cas cependant, l’organisation doit toujours conclure un contrat avec le mandataire concerné.
c. En ce qui concerne les informations sensibles (par exemple, les données concernant le dossier médical ou l’état de santé d’une personne, son origine raciale ou ethnique, ses opinions politiques, ses croyances religieuses ou ses convictions philosophiques, son affiliation à un syndicat ou sa sexualité), les organisations doivent obtenir l’accord explicite et positif (à savoir, le consentement) des personnes concernées pour que ces informations puissent être: i) divulguées à un tiers; ou ii) utilisées dans un but qui diffère de l’objectif initial de la collecte ou de tout autre objectif approuvé ultérieurement par la personne concernée exerçant son droit de consentement. En outre, une organisation doit considérer comme sensible toute information à caractère personnel reçue d’un tiers qui indique que cette information est sensible, et doit la traiter comme telle.
3. RESPONSABILITÉ EN CAS DE TRANSFERT ULTÉRIEUR
a. Pour transférer des informations à caractère personnel à un tiers agissant en qualité de responsable du traitement, les organisations sont tenues d’appliquer les principes «Notification» et «Choix». Les organisations doivent également conclure un contrat avec le tiers responsable du traitement prévoyant que ces données peuvent être traitées uniquement à des fins limitées et spécifiques, conformément au consentement donné par la personne concernée, et que le destinataire assurera un niveau de protection équivalent à celui prévu par les principes et notifiera l’organisation s’il constate qu’il ne peut plus satisfaire à cette obligation. Le contrat prévoira que, si une telle constatation est faite, le tiers responsable du traitement cesse le traitement ou prend d’autres mesures raisonnables et adéquates pour remédier à cette situation.
b. Pour transférer des données à caractère personnel à un tiers agissant en qualité de mandataire, les organisations doivent: i) transférer les données concernées uniquement à des fins limitées et spécifiques; ii) s’assurer que le mandataire est tenu de garantir un niveau de protection au moins égal à celui requis par les principes; iii) prendre des mesures raisonnables et adéquates pour veiller à ce que le mandataire traite effectivement les informations à caractère personnel transférées d’une façon conforme aux obligations incombant à l’organisation en vertu des principes; iv) imposer au mandataire de notifier l’organisation s’il constate qu’il ne peut plus satisfaire à l’obligation d’assurer un niveau de protection équivalent à celui prévu par les principes; v) à la suite d’une notification, y compris au titre du point iv), prendre des mesures raisonnables et adéquates pour faire cesser tout traitement non autorisé et y remédier; et vi) fournir au ministère, sur demande, une synthèse ou une copie représentative des dispositions relatives à la vie privée contenues dans son contrat avec le mandataire concerné.
4. SÉCURITÉ
a. Les organisations qui créent, gèrent, utilisent ou diffusent des données à caractère personnel doivent prendre des mesures raisonnables et adéquates pour éviter la perte, l’utilisation abusive, la consultation illicite, la divulgation, la modification et la destruction de ces données, en prenant dûment en considération les risques liés au traitement et la nature des données à caractère personnel.
5. INTÉGRITÉ DES DONNÉES ET LIMITATION DES FINALITÉS
a. Dans le droit-fil des principes, les informations à caractère personnel doivent se limiter aux informations pertinentes aux fins du traitement. Une organisation ne peut pas traiter des données à caractère personnel d’une manière qui est incompatible avec les objectifs pour lesquels elles ont été collectées ou avec les objectifs approuvés ultérieurement par la personne concernée. Toute organisation doit prendre les mesures qui s’imposent, dans la limite nécessaire à la réalisation de ces objectifs, pour assurer la fiabilité des données à caractère personnel par rapport à l’utilisation prévue ainsi que leur exactitude, leur exhaustivité et leur actualité. Une organisation doit respecter les principes aussi longtemps qu’elle conserve ces informations.
b. Des informations peuvent être conservées sous une forme identifiant la personne concernée ou la rendant identifiable uniquement tant que cette conservation sert à atteindre l’objectif de traitement au sens du point 5 a). Cette restriction n’empêche pas les organisations de traiter des informations à caractère personnel pour des durées plus longues aussi longtemps que, et dans la mesure où, ce traitement vise raisonnablement à atteindre les finalités suivantes: archivage dans l’intérêt public, journalisme, littérature et art, recherche scientifique ou historique, et analyse statistique. Dans ces cas, le traitement est soumis aux autres principes et dispositions du cadre du CPD UE — États-Unis. Les organisations devraient prendre des mesures raisonnables et adéquates lorsqu’elles respectent cette disposition.
6. ACCÈS
a. Lorsqu’une organisation détient des informations à caractère personnel sur une personne, celle-ci doit avoir accès à ces données et doit pouvoir les corriger, les modifier ou les supprimer lorsqu’elles sont inexactes ou lorsqu’elles ont été traitées d’une façon contraire aux principes. Font toutefois exception à cette règle les cas où la charge de travail ou la dépense qu’occasionnerait le droit d’accès sont disproportionnées par rapport aux risques pesant sur la vie privée de la personne concernée ainsi que les cas susceptibles d’entraîner une violation des droits d’autres personnes.
7. VOIES DE RECOURS, APPLICATION ET RESPONSABILITÉ
a. Pour protéger efficacement la vie privée, il convient notamment de mettre au point des mécanismes robustes permettant d’assurer le respect des principes, de ménager un droit de recours aux personnes concernées par le non-respect des principes et de sanctionner les organisations qui n’ont pas appliqué les principes alors qu’elles s’y sont engagées. Ces mécanismes doivent comprendre au minimum:
i. des mécanismes de recours indépendants aisément accessibles, permettant d’examiner et de trancher toute réclamation et tout litige, rapidement et sans frais pour les personnes concernées, en se référant aux principes et d’accorder des dédommagements lorsque la loi applicable ou les initiatives du secteur privé le prévoient;
ii. des procédures de suivi permettant de vérifier que les attestations et les déclarations des organisations relatives à leurs pratiques en matière de protection de la vie privée sont exactes et que ces pratiques sont mises en œuvre conformément aux déclarations des organisations et, en particulier, en ce qui concerne les cas de non-conformité; et
iii. des dispositions aux termes desquelles les organisations qui affirment souscrire aux principes sont tenues de résoudre les problèmes qui découlent du non-respect de ceux-ci et d’assumer les conséquences qui en résultent. Les sanctions doivent être suffisamment dissuasives pour garantir le respect des principes par les organisations.
b. Les organisations et les mécanismes de recours indépendant qu’elles ont sélectionnés doivent réagir rapidement aux questions et aux demandes d’informations émanant du ministère concernant le CPD UE — États-Unis. Toutes les organisations doivent répondre sans retard aux réclamations concernant le respect des principes que les autorités des États membres de l’Union leur transmettent par l’intermédiaire du ministère. Les organisations qui ont choisi de coopérer avec des APD, notamment les organisations qui traitent des données concernant les ressources humaines, doivent répondre directement à ces autorités lorsqu’il s’agit d’examiner et de trancher des réclamations.
c. Les organisations sont tenues d’assurer l’arbitrage des réclamations et de respecter les conditions exposées à l’annexe I, pour autant qu’une personne ait demandé le recours à un arbitrage contraignant en le notifiant à l’organisation en cause et en suivant les procédures et en respectant les conditions exposées à l’annexe I.
d. Dans le contexte d’un transfert ultérieur, toute organisation participant au CPD UE — États-Unis assume la responsabilité du traitement des informations à caractère personnel qu’elle reçoit au titre de celui-ci et qu’elle transfère ultérieurement à un tiers agissant pour son compte en qualité de mandataire. L’organisation participant au CPD UE — États-Unis reste responsable au titre des principes si son mandataire traite ces informations à caractère personnel d’une manière non conforme aux principes, sauf si elle apporte la preuve qu’elle n’est pas responsable des événements donnant lieu au préjudice.
e. Toute organisation qui fait l’objet, au motif du non-respect des principes, d’une ordonnance judiciaire ou d’une ordonnance d’un organisme officiel américain (par exemple, la FTC ou le ministère des transports) mentionné dans les principes ou dans une future annexe aux principes est tenue de rendre publiques les parties liées au CPD UE — États-Unis de tout rapport de conformité ou d’évaluation soumis à au tribunal ou à l’organisme officiel américain dans les limites des exigences de confidentialité. Le ministère a mis en place un point de contact spécifique que les APD peuvent contacter pour tout problème de non-conformité par les organisations participant au CPD UE — États-Unis. La FTC et le ministère des transports examineront en priorité les dossiers de non-conformité avec les principes déférés par le ministère et par les autorités des États membres de l’Union et échangeront sans retard des informations relatives à chaque dossier avec les autorités de l’État membre qui a soumis le dossier, dans le respect des restrictions de confidentialité en vigueur.
III. PRINCIPES COMPLÉMENTAIRES
1. Données sensibles
a. Une organisation n’est pas tenue d’obtenir un consentement explicite et positif à l’égard de données sensibles dans les cas où le traitement est:
i. dans l’intérêt vital de la personne concernée ou d’une autre personne;
ii. nécessaire à la constatation d’un droit ou d’une défense en justice;
iii. nécessaire pour dispenser des soins médicaux à des fins de diagnostic;
iv. effectué au cours d’activités légitimes par une fondation, une association ou tout autre organisme à but non lucratif et à finalité politique, philosophique, religieuse ou syndicale, et à condition que le traitement se rapporte aux seuls membres de l’organisme ou aux personnes entretenant avec lui des contacts réguliers liés à sa finalité et que les données ne soient pas communiquées à des tiers sans le consentement des personnes concernées;
v. nécessaire aux fins de respecter les obligations de l’organisation en matière de droit du travail; ou
vi. lié à des données manifestement rendues publiques par la personne concernée.
2. Exceptions journalistiques
a. Compte tenu des garanties qu’offre la Constitution américaine en ce qui concerne la liberté de la presse, lorsque les droits de la presse visés dans le premier amendement à la Constitution des États-Unis ne sont pas compatibles avec la protection de la vie privée, le premier amendement doit primer pour les activités qui sont le fait de personnes ou d’organisations américaines.
b. Les informations à caractère personnel qui sont collectées à des fins de publication, de diffusion ou d’autres formes de communication publique, qu’elles soient utilisées ou non, ainsi que les informations qui ont été publiées antérieurement, puis archivées ne sont pas soumises aux principes.
3. Responsabilité secondaire
a. Les fournisseurs d’accès à l’internet (FAI), les sociétés de télécommunications et d’autres organismes ne sont pas soumis aux principes lorsqu’ils se limitent à transmettre, acheminer, remplacer ou masquer des informations pour le compte d’un autre organisme. Le CPD UE — États-Unis ne fait pas naître de responsabilité secondaire. Dans la mesure où une organisation sert uniquement de vecteur à des données transmises par des tiers et ne détermine ni les buts ni les moyens de traitement de ces données à caractère personnel, sa responsabilité ne peut être engagée.
4. Mesures de diligence raisonnable et réalisation d’audits
a. Les activités des commissaires aux comptes et des banques d’investissement peuvent impliquer le traitement de données à caractère personnel sans le consentement ou à l’insu de la personne concernée. Les principes «Notification», «Choix» et «Accès» l’autorisent dans les circonstances décrites ci-dessous.
b. Les sociétés cotées en bourse et les entreprises non cotées, parmi lesquelles des organisations participant au CPD UE — États-Unis, font régulièrement l’objet d’audits. Ces audits, en particulier ceux qui examinent d’éventuelles malversations, pourraient être mis en péril par une divulgation prématurée. De même, une organisation participant au CPD UE — États-Unis qui se trouve impliquée dans une fusion ou une acquisition potentielle doit prendre des mesures de «diligence raisonnable» ou se soumettre à de telles mesures. Cette procédure nécessite souvent la collecte et le traitement de données à caractère personnel, par exemple des informations relatives aux dirigeants et aux autres membres clés du personnel. Une divulgation prématurée pourrait entraver la transaction envisagée, voire enfreindre la législation boursière en vigueur. Les banques d’investissement et les avocats qui assurent les démarches de diligence raisonnable, ainsi que les commissaires aux comptes chargés d’un audit, peuvent traiter des informations à l’insu de la personne concernée, uniquement dans la mesure et pendant la durée nécessaires pour satisfaire à des dispositions réglementaires ou à des exigences liées à l’intérêt général ainsi que dans d’autres circonstances où l’application de ces principes porterait atteinte aux intérêts légitimes de l’organisme. Parmi ces intérêts légitimes figurent la surveillance du respect, par les organisations, de leurs obligations légales et de leurs activités comptables légitimes ainsi que la confidentialité qui doit être observée dans le contexte d’éventuelles acquisitions, fusions, coentreprises ou d’autres transactions de nature comparable effectuées par les banques d’investissement ou les commissaires aux comptes.
5. Rôle des autorités chargées de la protection des données
a. Les organisations respecteront leur engagement à coopérer avec les APD selon les modalités décrites ci-dessous. Dans le cadre du CPD UE — États-Unis, les organisations américaines recevant des données à caractère personnel en provenance de l’Union doivent s’engager à utiliser des mécanismes efficaces assurant le respect des principes. Plus précisément, comme le prévoit le principe «Voies de recours, application et responsabilité», les organisations participantes doivent prévoir: a) i) des voies de recours pour les personnes auxquelles les données se réfèrent; a) ii) des procédures de suivi permettant de vérifier que les affirmations et les déclarations qu’elles ont faites en ce qui concerne le respect de la vie privée sont exactes; et a) iii) des déclarations faisant obligation de résoudre les problèmes résultant du non-respect des principes et prévoyant des sanctions pour les contrevenants. Une organisation peut satisfaire aux points a) i) et a) iii) du principe «Voies de recours, application et responsabilité» si elle adhère aux exigences énoncées ici pour la coopération avec les APD.
b. Une organisation s’engage à coopérer avec les APD en indiquant, dans la déclaration d’autocertification aux fins du CPD UE — États-Unis qu’elle adresse au ministère du commerce (voir principe complémentaire «Autocertification»), qu’elle:
i. décide de se conformer aux dispositions des points a) i) et a) iii) du principe «Voies de recours, application et responsabilité» en s’engageant à coopérer avec les APD;
ii. coopérera avec les APD pour examiner et trancher les réclamations introduites au titre des principes; et
iii. suivra tout avis donné par les APD selon lequel l’organisation doit prendre des mesures spécifiques pour respecter les principes, y compris toute mesure de réparation ou d’indemnisation au bénéfice des personnes qui ont subi un préjudice en raison du non-respect desdits principes, et confirmera par écrit aux APD que lesdites mesures ont été prises.
c. Fonctionnement des panels d’APD
i. La coopération des APD prendra la forme d’informations et d’avis donnés selon les modalités suivantes:
1. Les APD seront consultées par l’intermédiaire d’un panel informel d’APD établi au niveau de l’Union qui, notamment, contribuera à définir une approche harmonisée et cohérente.
2. Le panel conseillera les organisations américaines concernées au sujet de réclamations en suspens introduites par des personnes et portant sur le traitement d’informations à caractère personnel qui ont été transférées au départ de l’Union européenne au titre du CPD UE — États-Unis. Les conseils donnés viseront à assurer une application correcte des principes et contiendront également des mécanismes de règlement des litiges que les APD jugeront appropriés pour la ou les personnes concernées.
3. Le panel donnera son avis en réponse à des renvois formés par les organisations concernées et/ou à des réclamations introduites directement par des personnes contre des organisations qui se sont engagées à coopérer avec les APD aux fins du respect des principes du CPD UE — États-Unis, tout en encourageant et, s’il y a lieu, en aidant ces personnes à faire d’abord usage des mécanismes internes de traitement des réclamations dont l’organisation dispose.
4. L’avis ne sera donné qu’après avoir mis les deux parties en mesure de présenter leurs observations et, le cas échéant, de produire leurs moyens de preuve. Le panel veillera à donner son avis dans les meilleurs délais tout en respectant les principes du procès équitable. En principe, le panel se prononcera au plus tard dans un délai de soixante jours à compter de la réception de la réclamation ou du renvoi.
5. S’il le juge approprié, le panel rendra publics les résultats de l’examen des réclamations dont il a été saisi.
6. L’avis du panel n’engage ni le panel ni les APD qui le composent.
ii. Les organisations optant pour ce mode de règlement des litiges doivent s’engager à se conformer aux avis émis par les APD. Si une organisation ne s’exécute pas dans un délai de vingt-cinq jours à compter de la notification de l’avis sans pouvoir fournir de motif valable, le panel pourra décider de renvoyer l’affaire à la FTC, au ministère des transports ou à un autre organisme officiel américain ou de conclure à un manquement grave à l’engagement de coopérer, lequel devra, en conséquence, être considéré comme nul et non avenu. Dans le dernier cas, le panel informera le ministère afin que celui-ci corrige la liste du cadre de protection des données. Tout manquement à l’engagement de coopérer avec les APD ainsi que tout non-respect des principes seront considérés comme constitutifs d’un acte frauduleux en vertu de l’article 5 du FTC Act (15 U.S.C. § 45), du titre 49 U.S.C., § 41712, ou de lois équivalentes.
d. Une organisation qui souhaite utiliser les avantages conférés par son adhésion au CPD UE — États-Unis pour couvrir les données relatives aux ressources humaines transférées depuis l’Union dans le contexte d’une relation de travail doit s’engager à coopérer avec les APD en ce qui concerne ces données (voir principe complémentaire «Données relatives aux ressources humaines»).
e. Les organisations optant pour cette formule devront verser une cotisation annuelle qui sera destinée à couvrir les frais de gestion du panel. Elles pourront également, le cas échéant, être invitées à participer aux frais de traduction résultant de l’examen, par le panel, des renvois et des réclamations introduites contre elles. La cotisation annuelle sera déterminée par le ministère après consultation de la Commission. La perception de la cotisation peut être effectuée par un tiers choisi par le ministère pour être le dépositaire des fonds collectés à cette fin. Le ministère coopérera étroitement avec la Commission et les APD sur l’établissement de procédures appropriées pour la distribution des fonds collectés au moyen de la cotisation, ainsi que sur d’autres aspects procéduraux et administratifs du panel. Le ministère et la Commission peuvent convenir de modifier la fréquence de perception de la cotisation.
6. Autocertification
a. Une organisation peut prétendre aux avantages du CPD UE — États-Unis dès le moment où le ministère l’inscrit sur la liste du cadre de protection des données. Le ministère n’inscrira une organisation sur la liste du cadre de protection des données qu’après avoir déterminé que sa déclaration d’autocertification initiale est complète, et il la supprimera de la liste si l’organisation se retire volontairement, manque à son obligation de recertification annuelle ou ne respecte pas les principes de manière persistante (voir principe complémentaire «Résolution des litiges et application des décisions»).
b. Pour autocertifier ou, par la suite, recertifier son adhésion au CPD UE — États-Unis, une organisation doit remettre au ministère une déclaration signée par un dirigeant de l’organisation qui autocertifie ou recertifie (le cas échéant) son adhésion aux principes, contenant au moins les informations suivantes:
i. le nom de l’organisation américaine présentant la déclaration d’autocertification ou de recertification, ainsi que le ou les noms de ses entités ou filiales américaines adhérant également aux principes que l’organisation souhaite couvrir;
ii. une description des activités de l’organisation en lien avec les informations à caractère personnel qui seraient reçues de l’Union en vertu du CPD UE — États-Unis;
iii. une description de la politique en matière de protection de la vie privée de l’organisation appliquée par l’organisation auxdites informations, précisant:
1. si l’organisation possède un site web public, l’adresse web à laquelle cette politique est accessible ou, si l’organisation ne possède pas de site web public, le lieu où le texte de cette politique peut être consulté par le public, et
2. la date de mise en œuvre effective de cette politique;
iv. le service à contacter au sein de l’organisation en cas de réclamation, pour des demandes d’accès et pour toute autre question relevant des principes, notamment:
1. le ou les noms, la ou les fonctions, l’adresse ou les adresses électroniques et le ou les numéros de téléphone de la ou des personnes de contact ou du ou des services à contacter au sein de l’organisation, et
2. l’adresse postale de l’organisation aux États-Unis;
v. le nom de l’organisme officiel spécifique compétent pour connaître des plaintes déposées, le cas échéant, contre l’organisation pour pratiques déloyales ou frauduleuses et pour infraction aux lois ou aux réglementations régissant la protection de la vie privée (et qui est mentionnée dans les principes ou une future annexe aux principes);
vi. l’intitulé de tout programme relatif à la protection de la vie privée auquel participe l’organisation;
vii. la méthode de vérification (par exemple, l’autoévaluation ou des contrôles extérieurs de la conformité, y compris le tiers qui effectue ces contrôles); et
viii. le ou les mécanismes de recours indépendants qui pourront instruire les réclamations en suspens liées aux principes.
c. Une organisation peut étendre les avantages du CPD UE — États-Unis à des informations relatives aux ressources humaines qui sont transférées depuis l’Union afin d’être utilisées dans le cadre de relations de travail, lorsque l’un des organismes officiels mentionnés dans les principes ou une future annexe aux principes est compétent pour connaître des plaintes déposées contre l’organisation en raison du traitement des informations relatives aux ressources humaines. En outre, l’organisation doit indiquer dans sa déclaration d’autocertification initiale, ainsi que dans toute déclaration de recertification, qu’elle désire couvrir de telles informations, qu’elle s’engage à coopérer avec les autorités compétentes de l’Union européenne conformément aux termes des principes complémentaires «Données relatives aux ressources humaines» et «Rôle des autorités chargées de la protection des données», et qu’elle observera les conseils donnés par ces autorités. L’organisation doit également fournir au ministère une copie de sa politique en matière de protection de la vie privée concernant les ressources humaines et indiquer le lieu où cette politique peut être consultée par les salariés concernés.
d. Le ministère tiendra et mettra à la disposition du public la liste du cadre de protection des données énumérant les organisations qui ont déposé des déclarations d’autocertification initiales complètes et mettra cette liste à jour sur la base des déclarations annuelles de recertification complètes, ainsi que des notifications reçues conformément au principe complémentaire «Résolution des litiges et application des décisions». Les déclarations de recertification doivent être déposées au moins une fois par an; à défaut, l’organisation sera supprimée de la liste du cadre de protection des données et ne bénéficiera plus des avantages découlant du CPD UE — États-Unis. Toute organisation inscrite sur la liste du cadre de protection des données par le ministère doit disposer d’une politique en matière de protection de la vie privée qui respecte le principe «Notification» et mentionner, dans cette politique, qu’elle adhère aux principes. Si elle est disponible en ligne, la politique en matière de protection de la vie privée d’une organisation doit inclure un hyperlien vers le site web du cadre de protection des données du ministère et un hyperlien vers le site ou le formulaire d’introduction d’une réclamation du mécanisme de recours indépendant qui pourra instruire gratuitement pour les personnes les réclamations en suspens liées aux principes.
e. Les principes s’appliquent dès l’autocertification. Les organisations participantes qui ont antérieurement autocertifié leur respect des principes du bouclier de protection des données devront mettre à jour leur politique en matière de protection de la vie privée pour qu’elle fasse désormais référence aux «principes du cadre de protection des données UE — États-Unis». Ces organisations doivent inclure cette référence dès que possible et, en tout état de cause, au plus tard trois mois après la date d’entrée en vigueur des principes du cadre de protection des données UE — États-Unis.
f. Une organisation doit appliquer les principes à toutes les données à caractère personnel reçues depuis l’Union sur la foi du CPD UE — États-Unis. L’engagement d’adhérer aux principes n’est pas limité dans le temps en ce qui concerne les données à caractère personnel reçues au cours de la période durant laquelle l’organisation bénéficie des avantages du CPD UE — États-Unis; son engagement signifie qu’elle continuera à appliquer les principes à ces données aussi longtemps qu’elle stockera, utilisera ou divulguera celles-ci, même si elle quitte ultérieurement le CPD UE — États-Unis pour quelque raison que ce soit. Une organisation qui souhaite se retirer du CPD UE — États-Unis doit le notifier à l’avance au ministère. Cette notification doit également indiquer ce que l’organisation compte faire avec les données à caractère personnel qu’elle a reçues sur la foi du CPD UE — États-Unis (à savoir, conserver, restituer ou supprimer les données, et dans le cas où elle conserve les données, les moyens autorisés par lesquels elle assurera la protection des données). Une organisation qui se retire du CPD UE — États-Unis mais qui souhaite conserver ces données doit déclarer annuellement au ministère son engagement à continuer d’appliquer les principes ou à assurer une protection «adéquate» des données par un autre moyen autorisé (par exemple en utilisant un contrat qui reflète pleinement les exigences des clauses contractuelles standard adoptées par la Commission); dans le cas contraire, l’organisation doit restituer ou supprimer les données concernées. Une organisation qui se retire du CPD UE — États-Unis doit supprimer de toute politique en matière de protection de la vie privée concernée toute référence à celui-ci donnant à penser que l’organisation continue de participer au CPD UE — États-Unis et peut prétendre à ses avantages.
g. Une organisation qui cessera d’exister en tant qu’entité juridique distincte en raison d’un changement de statut, par exemple à la suite d’une opération de fusion, d’une opération d’absorption, d’une faillite ou d’une dissolution, doit le notifier à l’avance au ministère. La notification devrait également indiquer si l’entité issue du changement de statut i) continuera de participer au CPD UE — États-Unis dans le cadre d’une autocertification existante; ii) autocertifiera son adhésion aux principes en tant que nouvelle organisation participant au CPD UE — États-Unis (par exemple, lorsque la nouvelle entité ou l’entité survivante ne dispose pas déjà d’une autocertification lui permettant de participer au CPD UE — États-Unis); ou iii) mettra en place d’autres garanties telles qu’un accord écrit certifiant qu’elle continuera d’appliquer les principes à toutes les données à caractère personnel que l’organisation a reçues dans le cadre du CPD UE — États-Unis et qu’elle conservera. Si aucune des solutions visées aux points i), ii) et iii) n’est mise en œuvre, toute donnée à caractère personnel reçue dans le cadre du CPD UE — États-Unis doit être restituée ou effacée sans tarder.
h. Une organisation qui se retire du CPD UE — États-Unis pour quelque raison que ce soit doit supprimer toute déclaration donnant à penser qu’elle continue de participer au CPD UE — États-Unis ou qu’elle peut prétendre aux avantages du CPD UE — États-Unis. La marque de certification du CPD UE — États-Unis, dans les cas où elle est utilisée, doit également être supprimée. Toute fausse déclaration au grand public concernant l’adhésion d’une organisation aux principes peut donner lieu à des poursuites devant la FTC, le ministère des transports ou toute autre instance administrative compétente. Toute fausse déclaration au ministère peut donner lieu à des poursuites au titre de la loi sur les fausses déclarations (18 U.S.C., § 1001).
7. Vérification
a. Les organisations sont tenues de prévoir des procédures de suivi afin de vérifier que leurs attestations et déclarations relatives à leurs pratiques en matière de protection de la vie privée en vertu du CPD UE — États-Unis sont exactes et que ces pratiques ont été mises en œuvre comme elles l’ont annoncé et conformément aux principes.
b. Pour répondre aux exigences de vérification du principe «Voies de recours, application et responsabilité», une organisation doit vérifier les attestations et déclarations de ce type en organisant une autoévaluation ou un contrôle extérieur de la conformité.
c. Si l’organisation opte pour l’autoévaluation, la vérification doit démontrer que sa politique en matière de protection de la vie privée, en ce qui concerne les informations à caractère personnel reçues de l’Union, est appropriée, complète, facilement accessible, qu’elle est conforme aux principes et qu’elle est totalement mise en œuvre (c’est-à-dire respectée). Elle doit aussi montrer que les personnes sont informées de l’existence de tout mécanisme interne de traitement des réclamations et des mécanismes de recours indépendants par le truchement desquels ils peuvent diligenter leurs réclamations, que l’organisation dispose de procédures de formation des salariés à cet effet et que des sanctions leur sont infligées s’ils ne les respectent pas, et qu’il existe des procédures internes visant à contrôler régulièrement et objectivement la conformité avec ce qui précède. Une déclaration confirmant que l’autoévaluation a été menée à bien doit être signée au moins une fois par an par un responsable de la société ou tout autre représentant mandaté et transmise à la demande des personnes concernées ou dans le cadre d’une enquête ou d’une réclamation pour non-conformité.
d. Si l’organisation opte pour un contrôle extérieur de la conformité, la vérification doit démontrer que sa politique de protection de la vie privée, en ce qui concerne les informations à caractère personnel reçues de l’Union, est appropriée, complète, facilement accessible, qu’elle est conforme aux principes et qu’elle est totalement mise en œuvre (c’est-à-dire respectée). Elle doit aussi montrer que les particuliers sont informés du ou des mécanismes leur permettant d’introduire des réclamations. Les méthodes utilisées sont diverses. Il peut s’agir (liste non exhaustive) d’un audit, d’une vérification menée de façon aléatoire, de l’utilisation de «leurres» ou d’outils technologiques. Une déclaration confirmant qu’un contrôle extérieur de la conformité a été mené à bien doit être signée au moins une fois par an par le contrôleur, le responsable de la société ou tout autre représentant mandaté et transmise à la demande des personnes concernées ou dans le cadre d’une enquête ou d’une réclamation pour non-conformité.
e. Les organisations doivent conserver des archives sur la mise en œuvre de leurs pratiques relatives à la protection de la vie privée en vertu du CPD UE — États-Unis et remettre celles-ci sur demande, dans le cadre d’une enquête ou d’une réclamation pour non-conformité, à l’organe indépendant de règlement des litiges responsable de l’examen des réclamations ou à l’agence compétente en matière de pratiques déloyales et frauduleuses. Les organisations doivent également répondre rapidement aux questions et autres demandes d’informations émanant du ministère concernant leur respect des principes.
8. Accès
a. Le principe «Accès» dans la pratique
i. Conformément aux principes, le droit d’accès est un élément fondamental de la protection de la vie privée. Il permet, notamment, à chaque personne de vérifier l’exactitude des informations la concernant. Le principe «Accès» signifie que les personnes ont le droit:
1. d’obtenir d’une organisation la confirmation du fait que cette organisation traite ou non des données à caractère personnel les concernant;
2. de se faire communiquer ces données afin de pouvoir vérifier leur exactitude et la licéité du traitement; et
3. d’obtenir la correction, la modification ou la suppression des données inexactes ou traitées d’une manière contraire aux principes.
ii. Les personnes concernées ne sont pas tenues de justifier une demande d’accès à leurs propres données. Lorsqu’elle répond aux demandes d’accès individuelles, l’organisation doit avant tout être guidée par la ou les motivations de leur auteur. Par exemple, si une demande d’accès est vague ou a une portée très large, l’organisation peut engager un dialogue avec le demandeur afin de mieux comprendre sa démarche et de trouver les informations appropriées. L’organisation peut chercher à déterminer avec quels services la personne concernée a eu des contacts ou quelle est la nature ou l’utilisation des informations qui font l’objet de la demande d’accès.
iii. Le droit d’accès étant par nature un élément fondamental de la protection de la vie privée, les organisations doivent, toujours et en toute bonne foi, faire des efforts pour fournir l’accès. Par exemple, s’il convient de protéger certaines informations et que celles-ci peuvent être aisément séparées des informations à caractère personnel qui font l’objet d’une demande d’accès, l’organisation doit procéder à la séparation des données confidentielles et répondre à la demande en rendant les autres informations disponibles. Si l’organisation décide de restreindre l’accès dans un cas précis, elle doit motiver sa décision et communiquer les coordonnées d’une personne à contacter pour plus d’informations.
b. Charge de travail ou dépense occasionnée par l’accès
i. Le droit d’accès aux informations à caractère personnel peut être restreint dans des circonstances exceptionnelles, dans les cas où la charge de travail ou la dépense qu’occasionnerait le droit d’accès sont disproportionnées par rapport aux risques pesant sur la vie privée de la personne concernée ainsi que les cas susceptibles d’entraîner une violation des droits d’autres personnes. Les coûts et la charge constituent des facteurs importants qui sont à prendre en compte, mais qui ne sont pas décisifs lorsqu’il s’agit de déterminer le caractère raisonnable de l’accès.
ii. Ainsi, conformément aux autres dispositions des présents principes complémentaires, si les informations à caractère personnel sont utilisées pour prendre des décisions qui auront des conséquences majeures pour la personne (par exemple, le refus ou l’octroi d’avantages importants, tels qu’une assurance, une hypothèque ou un emploi), l’organisation est tenue de les communiquer, même si cela s’avère relativement difficile ou coûteux. Lorsque les informations à caractère personnel demandées ne sont pas sensibles ou ne sont pas utilisées pour prendre des décisions qui auront des conséquences majeures pour la personne, mais qu’elles sont aisément disponibles et que leur transmission est peu coûteuse, l’organisation est tenue de permettre l’accès à ces informations.
c. Informations commerciales confidentielles
i. Les informations commerciales confidentielles sont des informations qu’une organisation veille à ne pas divulguer car elles favoriseraient ses concurrents. Les organisations peuvent refuser ou limiter l’accès si elles craignent de voir divulguées leurs informations commerciales confidentielles – notamment les inférences ou les classifications commerciales établies par l’organisation – ou des informations commerciales confidentielles appartenant à d’autres organisations et soumises à une obligation contractuelle de confidentialité.
ii. Si les informations commerciales confidentielles peuvent être aisément séparées des autres informations à caractère personnel qui font l’objet d’une demande d’accès, l’organisation devrait expurger les informations confidentielles et rendre accessibles les informations non confidentielles.
d. Organisation de bases de données
i. L’accès peut être fourni sous la forme de la communication des informations à caractère personnel concernées par l’organisation à la personne concernée et n’implique pas obligatoirement que cette dernière consulte la base de données de l’organisation.
ii. L’accès ne doit être fourni que dans la mesure où l’organisation stocke les informations à caractère personnel. Le principe «Accès» ne crée en soi aucune obligation de conservation, de gestion, de réorganisation ou de restructuration des fichiers d’informations à caractère personnel.
e. Circonstances permettant de restreindre l’accès
i. Étant donné que les organisations sont toujours tenues de faire des efforts de bonne foi pour permettre aux personnes d’accéder à leurs données à caractère personnel, les circonstances dans lesquelles les organisations peuvent restreindre cet accès sont limitées et toute restriction d’accès doit être motivée par des raisons précises. Tout comme en vertu du RGPD, l’organisation peut restreindre l’accès à certaines informations pour autant que leur diffusion risque de porter atteinte à d’importants intérêts publics, tels que la sécurité nationale, la défense ou la sécurité publique. L’accès peut également être refusé lorsque les informations à caractère personnel sont traitées uniquement à des fins statistiques ou de recherche. D’autres motifs justifient le refus ou la limitation de l’accès:
1. une entrave à l’exécution ou à l’application de la loi ou aux actions civiles en justice, notamment à la prévention de la criminalité, à la détection des infractions et délits et aux enquêtes y afférentes ou encore au droit à un procès équitable;
2. les cas où la divulgation entraînerait une violation des droits légitimes ou d’intérêts importants de tiers;
3. le non-respect d’une obligation ou d’un privilège légal ou professionnel;
4. une entrave aux enquêtes sur la sécurité des employés et aux procédures d’arbitrage, ou lors de l’organisation des remplacements et des restructurations; ou
5. le fait de porter atteinte à la confidentialité nécessaire au contrôle, à l’inspection ou aux fonctions réglementaires en rapport avec une gestion saine, ou dans le cadre de négociations futures ou en cours impliquant l’organisation.
ii. Il incombe à l’organisation qui invoque l’exception d’en prouver le bien-fondé, d’indiquer les motifs de la limitation de l’accès et de communiquer les coordonnées d’une personne à contacter pour plus d’informations.
f. Droit d’obtenir une confirmation de possession d’informations et possibilité de rendre l’accès payant pour couvrir les frais
i. Toute personne a le droit d’obtenir la confirmation qu’une organisation possède ou non des données à caractère personnel la concernant. Toute personne a également le droit de se faire communiquer les données à caractère personnel la concernant. Les organisations peuvent demander le paiement d’une redevance, pour autant qu’elle ne soit pas excessive.
ii. Le fait d’exiger le paiement d’une redevance peut être justifié, par exemple, dans le cas de demandes manifestement excessives, en particulier du fait de leur caractère répétitif.
iii. L’accès ne peut pas être refusé pour des raisons de coût si la personne concernée propose de prendre en charge les frais occasionnés.
g. Demandes d’accès répétitives ou vexatoires
i. Une organisation peut fixer une limite acceptable au nombre de demandes d’accès déposées au cours d’une période donnée. Lorsqu’elle fixe ces limites, l’organisation doit tenir compte de facteurs tels que la fréquence de mise à jour des informations, le but de l’utilisation des données et la nature des informations.
h. Demandes d’accès frauduleuses
i. L’organisation n’est pas tenue de fournir l’accès si elle ne reçoit pas les informations nécessaires à l’identification du demandeur.
i. Délai de réponse
i. Les organisations doivent répondre aux demandes d’accès dans un délai raisonnable, de façon raisonnable et sous une forme aisément compréhensible pour la personne concernée. Une organisation qui fournit des informations aux personnes concernées à intervalles réguliers peut répondre à une demande d’accès individuelle dans le cadre de sa communication régulière si cela n’entraîne pas de délai excessif.
9. Données relatives aux ressources humaines
a. Couverture par le CPD UE — États-Unis
i. Si une organisation située dans l’Union transfère des informations à caractère personnel relatives à ses salariés (actuels ou anciens) collectées dans le cadre d’une relation de travail à une société mère, affiliée ou non affiliée qui fournit des services aux États-Unis et qui participe au CPD UE — États-Unis, ce transfert bénéficie des avantages du CPD UE — États-Unis. Dans ce cas, la collecte d’informations ainsi que leur traitement avant le transfert sont soumis aux lois nationales de l’État membre de l’Union où la collecte est réalisée et toutes les conditions ou les restrictions fixées en la matière par celles-ci doivent être respectées.
ii. Les principes ne sont pertinents qu’en cas de transfert ou d’accès à des dossiers individuels identifiés ou identifiables. Les rapports statistiques fondés sur les données agrégées en matière d’emploi et qui ne contiennent pas de données à caractère personnel ou qui utilisent des données rendues anonymes ne présentent pas de risques pour la vie privée.
b. Application des principes «Notification» et «Choix»
i. Une organisation américaine qui a reçu des informations en provenance de l’Union sur les salariés en vertu du CPD UE — États-Unis peut les communiquer à des tiers et/ou les utiliser à d’autres fins uniquement si les principes «Notification» et «Choix» sont respectés. Ainsi, si une organisation américaine veut utiliser les informations à caractère personnel collectées dans le cadre d’une relation de travail dans un but qui n’est pas lié à cette relation de travail – par exemple l’envoi de messages de marketing –, elle doit, au préalable, en laisser le choix aux personnes concernées, à moins que celles-ci n’aient déjà donné leur autorisation pour que les informations soient utilisées à de telles fins. Une telle utilisation ne peut pas être incompatible avec les finalités pour lesquelles les informations à caractère personnel ont été collectées ou avec les finalités approuvées ultérieurement par la personne concernée. En outre, l’employeur ne peut utiliser les choix exprimés pour entraver la carrière professionnelle de ses salariés ou prendre des sanctions à leur égard.
ii. Il convient de signaler que certaines conditions applicables de manière générale au transfert à partir de quelques États membres de l’Union peuvent exclure d’autres utilisations de ces informations, même après leur transfert en dehors du territoire de l’Union, et que ces conditions doivent être respectées.
iii. Par ailleurs, les employeurs devraient s’efforcer raisonnablement de tenir compte des préférences du salarié en ce qui concerne la protection de sa vie privée. Il peut s’agir, par exemple, de restreindre l’accès aux données à caractère personnel, d’en rendre certaines anonymes ou de leur attribuer des codes ou pseudonymes lorsque l’objectif de gestion poursuivi ne requiert pas l’utilisation des vrais noms.
iv. Dans la mesure nécessaire et pour aussi longtemps que nécessaire, pour éviter de limiter les capacités de l’organisation dans le cadre de promotions, d’engagements ou d’autres décisions similaires relatives à l’emploi, une organisation n’est pas tenue de respecter les principes «Notification» et «Choix».
c. Application du principe «Accès»
i. Le principe complémentaire «Accès» fournit des indications sur les raisons qui peuvent justifier le refus ou la restriction de l’accès demandé dans le contexte des ressources humaines. Dans l’Union, les employeurs doivent naturellement respecter les réglementations locales et veiller à ce que les salariés de l’Union aient accès à ces informations, conformément à la loi de leur pays d’origine, quel que soit le lieu de traitement et de conservation des données. Dans le contexte du CPD UE — États-Unis, une organisation traitant de telles données aux États-Unis doit coopérer en fournissant cet accès, soit directement, soit par l’intermédiaire de l’employeur de l’Union.
d. Exécution
i. Dans la mesure où les informations à caractère personnel sont utilisées uniquement dans le cadre d’une relation de travail, la responsabilité principale des données vis-à-vis du salarié incombe toujours à l’organisation située dans l’Union européenne. C’est la raison pour laquelle, si un salarié européen se plaint du non-respect de son droit à la protection des données et n’est pas satisfait des résultats des procédures internes d’évaluation, de réclamation et d’appel (ou de toute procédure d’arbitrage applicable en vertu d’un contrat conclu avec un syndicat), il convient de l’orienter vers les autorités nationales responsables des questions du travail ou de la protection des données dans la juridiction où il travaille. Cela comprend les cas où le mauvais usage allégué de l’information personnelle relève de la responsabilité de l’organisation américaine qui a reçu l’information de l’employeur, et entraîne donc une violation alléguée des principes. C’est le moyen le plus efficace de résoudre les chevauchements qui existent souvent entre les droits et obligations définis par la législation du travail et les conventions collectives locales ainsi que par la loi relative à la protection des données.
ii. Une organisation américaine participant au CPD UE — États-Unis qui utilise des données relatives aux ressources humaines transférées à partir de l’Union dans le cadre d’une relation de travail et qui souhaite que ces transferts soient couverts par le CPD UE — États-Unis doit s’engager à cet effet à coopérer aux enquêtes des autorités compétentes de l’Union et à respecter l’avis de celles-ci.
e. Application du principe «Responsabilité en cas de transfert ultérieur»
i. Pour des besoins opérationnels liés à l’emploi occasionnel d’une organisation participant au CPD UE — États-Unis en ce qui concerne des données à caractère personnel transférées au titre de celui-ci, comme la réservation d’un vol, d’une chambre d’hôtel ou la couverture d’assurance, les données à caractère personnel d’un petit nombre d’employés peuvent être transférées aux responsables du traitement sans appliquer le principe «Accès» et sans conclure de contrat avec le responsable du traitement tiers (comme l’exige normalement le principe «Responsabilité en cas de transfert ultérieur»), pour autant que l’organisation participant au CPD UE — États-Unis ait respecté les principes «Notification» et «Choix».
10. Contrats obligatoires pour les transferts ultérieurs
a. Contrats de traitement de données
i. Le transfert de l’Union vers les États-Unis de données à caractère personnel uniquement pour des besoins de traitement nécessite un contrat, indépendamment de la participation du sous-traitant au CPD UE — États-Unis.
ii. Un contrat est toujours exigé de la part des responsables de traitement européens pour un transfert en vue d’un simple traitement, que cette opération soit effectuée à l’intérieur ou à l’extérieur de l’Union, et que le sous-traitant participe ou non au CPD UE — États-Unis. Le contrat a pour objet de faire en sorte que le sous-traitant:
1. n’agisse que sur instruction du responsable du traitement;
2. mette en œuvre les mesures techniques et d’organisation appropriées pour protéger les données à caractère personnel contre la destruction accidentelle ou illicite, la perte accidentelle, l’altération, la diffusion ou l’accès non autorisés, et comprenne si un transfert ultérieur est autorisé ou non; et
3. compte tenu de la nature du traitement, aide le responsable du traitement à répondre aux personnes qui exercent leurs droits au titre des principes.
iii. Étant donné que les organisations participant au CPD UE — États-Unis assurent une protection adéquate, les contrats de simple traitement conclus avec ces dernières ne nécessitent pas d’autorisation préalable.
b. Transferts au sein d’un groupe contrôlé d’entreprises ou d’entités
i. Lorsque des informations à caractère personnel sont transférées entre deux responsables du traitement au sein d’un groupe contrôlé d’entreprises ou d’entités, un contrat n’est pas toujours requis en vertu du principe «Responsabilité en cas de transfert ultérieur». Les responsables du traitement au sein d’un groupe contrôlé d’entreprises ou d’entités peuvent fonder ces transferts sur d’autres instruments, comme les règles d’entreprise contraignantes de l’Union ou d’autres instruments intragroupe (par ex. les programmes de conformité et de contrôle), garantissant ainsi la continuité de la protection des informations à caractère personnel conformément aux principes. Dans le cas de tels transferts, l’organisation participant au CPD UE — États-Unis reste responsable du respect des principes.
c. Transferts entre responsables du traitement
i. Pour les transferts entre responsables du traitement, le responsable du traitement qui reçoit les données ne doit pas nécessairement être une organisation participant au CPD UE — États-Unis ni posséder de mécanisme de recours indépendant. L’organisation participant au CPD UE — États-Unis doit conclure, avec le responsable du traitement tiers qui reçoit les données, un contrat prévoyant un niveau de protection égal à celui requis en vertu du CPD UE — États-Unis, à ceci près que le responsable du traitement tiers ne doit pas être une organisation participant au CPD UE — États-Unis ni posséder de mécanisme de recours indépendant pour autant qu’il mette à disposition un mécanisme équivalent.
11. Résolution des litiges et application des décisions
a. Le principe «Voies de recours, application et responsabilité» fixe les exigences relatives à l’application du CPD UE — États-Unis. Le principe complémentaire «Vérification» explique la manière de satisfaire les exigences énoncées au point a) ii). Le présent principe complémentaire traite des points a) i) et a) iii), qui nécessitent tous deux des mécanismes de recours indépendants. Ces mécanismes peuvent prendre différentes formes, mais doivent répondre aux exigences énoncées au titre du principe «Voies de recours, application et responsabilité». Les organisations satisfont à ces exigences: i) en participant à des programmes du secteur privé en matière de protection de la vie privée intégrant dans leurs règles les principes et comportant des mécanismes de mise en œuvre efficaces, de même nature que ceux qui sont décrits dans le principe «Voies de recours, application et responsabilité»; ii) en se conformant aux instructions des organes légaux ou statutaires de surveillance qui assurent le traitement des réclamations de personnes et la résolution des litiges; ou iii) en s’engageant à coopérer avec les APD situées dans l’Union ou avec leurs représentants autorisés.
b. La présente liste a valeur indicative et n’est pas restrictive. Le secteur privé peut concevoir d’autres mécanismes de mise en œuvre pour autant que ceux-ci répondent aux exigences du principe «Voies de recours, application et responsabilité» ainsi qu’aux principes complémentaires. On notera que les exigences du principe «Voies de recours, application et responsabilité» s’ajoutent à l’exigence selon laquelle les mesures d’autoréglementation doivent être mises en application conformément à l’article 5 du FTC Act (15 U.S.C. § 45), qui interdit les pratiques déloyales ou frauduleuses, au titre 49 U.S.C., § 41712, qui interdit aux transporteurs et aux agents de billetterie toute pratique déloyale ou frauduleuse dans le domaine du transport aérien ou de la vente de transport aérien, ou à toute autre législation du même type.
c. Afin de garantir le respect de leurs engagements en vertu du CPD UE — États-Unis et de faciliter l’administration du programme, les organisations ainsi que leurs mécanismes de recours indépendants doivent fournir des informations relatives au CPD UE — États-Unis à la demande du ministère. En outre, les organisations doivent répondre sans retard aux réclamations relatives au respect des principes que les APD leur transmettent par l’intermédiaire du ministère. La réponse doit déterminer si la réclamation est fondée et, le cas échéant, comment l’organisation compte corriger le problème. Le ministère protégera la confidentialité des informations qu’il reçoit conformément au droit des États-Unis.
d. Mécanismes de recours
i. Les personnes devraient être encouragées à soumettre toute réclamation éventuelle à l’organisation concernée avant de faire appel à des mécanismes de recours indépendants. Les organisations doivent répondre aux personnes dans les 45 jours suivant la réception d’une réclamation. L’indépendance d’un mécanisme de recours est à apprécier selon des critères objectifs, notamment son impartialité, la transparence de sa composition et de son financement ou un bilan positif dans son domaine d’activité. Comme le prévoit le principe «Voies de recours, application et responsabilité», la voie de recours dont disposent les personnes doit être facilement accessible et gratuite. Les organes indépendants de règlement des litiges devraient étudier toutes les réclamations introduites par des personnes, à moins qu’elles ne soient manifestement non fondées ou abusives. Cette condition n’empêche pas l’établissement, par l’organe indépendant de règlement des litiges, de critères d’éligibilité, mais ceux-ci devraient être transparents et justifiés (ils pourraient viser, par exemple, à exclure les réclamations qui ne rentrent pas dans le champ d’application du programme ou qui relèvent des compétences d’une autre instance) et ne devraient pas avoir pour effet de compromettre l’engagement à examiner les réclamations légitimes. Les mécanismes de recours devraient, en outre, fournir aux personnes des informations complètes et facilement accessibles sur le fonctionnement de la procédure lors de l’introduction d’une réclamation. Ces informations devraient inclure une description des pratiques suivies en matière de protection de la vie privée, conformément aux principes. Les mécanismes devraient, en outre, coopérer en vue de mettre au point des outils, tels que des formulaires types de réclamation, destinés à faciliter le fonctionnement de la procédure de traitement des réclamations.
ii. Les mécanismes de recours indépendants doivent inclure sur leurs sites web publics des informations relatives aux principes et aux services qu’ils fournissent en vertu du CPD UE — États-Unis. Ces informations doivent comprendre: 1) des informations relatives aux exigences en matière de mécanismes de recours indépendants au titre des principes, ou un lien vers ces exigences; 2) un lien vers le site web «cadre de protection des données» du ministère; 3) l’indication que les services de règlement des litiges qu’elles proposent en vertu du CPD UE — États-Unis sont gratuits pour les personnes; 4) une description des modalités d’introduction d’une réclamation relative aux principes; 5) le délai de traitement des réclamations relatives aux principes; et 6) une description des possibilités de recours.
iii. Les mécanismes de recours indépendants doivent publier un rapport annuel présentant des statistiques agrégées relatives à leurs services de règlement des litiges. Ce rapport annuel doit indiquer: 1) le nombre total de réclamations relatives aux principes reçues au cours de l’année faisant l’objet du rapport; 2) les types de réclamations reçues; 3) des indicateurs de qualité du règlement des litiges, par exemple le délai de traitement des réclamations; et 4) les résultats du traitement des réclamations reçues, notamment le nombre et les types de recours et les sanctions infligées.
iv. Comme indiqué à l’annexe I, une personne peut opter pour l’arbitrage en vue de déterminer, pour les plaintes résiduelles, si une organisation participant au CPD UE — États-Unis n’a pas satisfait à ses obligations au titre des principes envers cette personne et si cette infraction reste entièrement ou partiellement sans réparation. Cette possibilité est offerte uniquement à ces fins. Elle n’est pas disponible, par exemple, en ce qui concerne les exceptions aux principes ou en ce qui concerne une allégation relative à l’adéquation du CPD UE — États-Unis. Dans le cadre de cette option d’arbitrage, le «panel du cadre de protection des données UE — États-Unis» (composé d’un ou de trois arbitres, à la convenance des parties) est habilité à imposer une mesure de réparation équitable non pécuniaire propre à chaque personne (par exemple l’accès, la correction, la suppression ou la restitution des données concernées de cette personne) nécessaire pour remédier à la violation des principes uniquement en ce qui concerne cette personne. Les personnes et les organisations participant au CPD UE — États-Unis pourront demander le contrôle juridictionnel et l’application des décisions d’arbitrage conformément au droit américain au titre de la loi fédérale sur l’arbitrage (Federal Arbitration Act ou FAA).
e. Recours et sanctions
i. Tout recours auprès de l’organe indépendant de règlement des litiges devrait aboutir à l’annulation ou à la correction, dans la mesure du possible, des effets du non-respect des principes par l’organisation, au respect des principes lors des traitements futurs par cette même organisation et, s’il y a lieu, à l’arrêt du traitement des données à caractère personnel de la personne qui a introduit la réclamation. Les sanctions doivent être suffisamment dissuasives pour garantir le respect des principes de la part de l’organisation. Une série de sanctions ayant des degrés de sévérité différents permettra aux organes de règlement des litiges de répondre de manière adéquate à des niveaux différents de non-respect. Les sanctions doivent inclure à la fois la publication des violations et l’obligation d’effacer les données dans certaines circonstances. D’autres sanctions pourraient être la suspension ou le retrait de l’agrément, l’indemnisation des pertes subies par les particuliers en raison du non-respect et des injonctions. Les organes indépendants de résolution des litiges et les organismes d’autoréglementation du secteur privé doivent signaler aux pouvoirs publics compétents ou aux juridictions, selon le cas, et au ministère les organisations participant au CPD UE — États-Unis qui ne respectent pas leurs décisions.
f. Action de la FTC
i. La FTC s’est engagée à examiner en priorité les cas de non-conformité alléguée aux principes qui lui sont soumis par: i) les organismes d’autoréglementation en matière de protection de la vie privée et les autres organes indépendants de règlement des litiges; ii) les États membres de l’Union; et iii) le ministère, afin de déterminer s’il y a eu une violation de l’article 5 du FTC Act, qui interdit les actions ou pratiques déloyales ou frauduleuses dans le commerce. Si la FTC conclut qu’il y a lieu de croire que la section 5 a été violée, elle peut résoudre l’affaire en demandant une injonction administrative de cessation interdisant les pratiques contestées ou en déposant une plainte auprès d’une cour de district fédérale qui, si la plainte aboutit, peut rendre un arrêt dans le même sens. Les infractions concernées incluent les déclarations mensongères d’adhésion aux principes ou de participation au CPD UE — États-Unis par des organisations qui ont été supprimées de la liste du cadre de protection des données ou qui n’ont jamais autocertifié leur adhésion auprès du ministère. La FTC peut requérir des sanctions civiles en cas de violation d’une injonction administrative de cessation et poursuivre le contrevenant pour outrage au tribunal de nature civile ou pénale s’il viole l’arrêt d’une cour fédérale. La FTC informe le ministère de toute action de ce type qu’elle entreprend. Le ministère encourage les autres organismes publics à lui communiquer l’issue de toutes les affaires analogues ou d’autres décisions concernant l’adhésion aux principes.
g. Non-respect persistant
i. Si une organisation ne respecte pas les principes de manière persistante, elle n’est plus en droit de bénéficier des avantages du CPD UE — États-Unis. Les organisations qui ne respectent pas les principes de manière persistante seront supprimées de la liste du cadre de protection des données par le ministère, et elles devront restituer ou supprimer les informations à caractère personnel qu’elles ont reçues alors qu’elles participaient au CPD UE — États-Unis.
ii. Il y a non-respect persistant lorsqu’une organisation qui a autocertifié son adhésion auprès du ministère refuse de se conformer à une décision définitive prise par un organisme d’autoréglementation du respect de la vie privée, un organisme indépendant de règlement des litiges ou un organisme public, ou lorsqu’un tel organisme, notamment le ministère, constate qu’elle viole fréquemment les principes, au point que sa déclaration d’adhésion n’est plus crédible. Dans les cas où une telle décision est prise par un organisme autre que le ministère, l’organisation doit alors en informer sans retard le ministère. Dans le cas contraire, elle est passible de sanctions en vertu de la loi sur les fausses déclarations (False Statements Act, 18 U.S.C., § 1001). Une organisation qui se retire d’un programme d’autoréglementation sur la protection de la vie privée géré par le secteur privé ou d’un mécanisme indépendant de résolution des litiges n’est pas exonérée de son obligation de respecter les principes. Une telle organisation se rendrait de ce fait coupable de non-respect persistant.
iii. Le ministère supprimera une organisation de la liste du cadre de protection des données en cas de non-respect persistant, notamment en réaction à toute notification qu’il recevrait d’un tel cas de non-respect de l’organisation elle-même, d’un organisme d’autoréglementation du respect de la vie privée, d’un autre organe indépendant de règlement des litiges ou d’un organisme public, mais seulement après avoir accordé à l’organisation concernée un préavis de 30 jours et la possibilité de répondre. La liste du cadre de protection des données tenue par le ministère précisera donc quelles organisations bénéficient des avantages du CPD UE — États-Unis et quelles organisations n’en bénéficient plus.
iv. Toute organisation demandant à être soumise à l’autorité d’un organisme d’autoréglementation afin de pouvoir bénéficier à nouveau des avantages du CPD UE — États-Unis devra fournir à cet organisme des informations exhaustives sur sa participation antérieure au CPD UE — États-Unis.
12. Choix – Moment de l’exercice du droit de refus (ou d’acceptation)
a. D’une manière générale, le principe «Choix» a pour but de s’assurer que les informations à caractère personnel sont utilisées et communiquées conformément aux attentes et aux choix de la personne concernée. Par conséquent, lorsque des informations à caractère personnel sont utilisées dans le cadre d’une action de marketing direct, toute personne concernée devrait pouvoir exercer son droit de refus (ou d’acceptation) à tout moment, dans certaines limites définies par l’organisation (par exemple, délai pour permettre à l’organisation d’appliquer le refus). L’organisation peut également requérir un certain nombre d’informations pour confirmer l’identité de la personne qui fait part de son opposition. Aux États-Unis, ce droit peut être exercé dans le cadre d’un programme central de refus. En tout état de cause, le recours à cette option doit être facile et peu coûteux.
b. De même, une organisation peut utiliser des informations à certaines fins de marketing direct lorsque les conditions ne permettent pas de laisser le choix avant l’utilisation des données, à condition qu’elle donne ensuite rapidement (et à tout moment sur demande) aux personnes concernées la possibilité de refuser, sans aucuns frais, toute autre communication de marketing direct et qu’elle se conforme aux souhaits de ces dernières.
13. Informations sur les voyages
a. Dans différentes circonstances, il est permis de communiquer à des organisations situées en dehors de l’Union les informations concernant les passagers des transports aériens (fournies notamment lors des réservations), telles que celles concernant les clients réguliers ou les réservations d’hôtel ainsi que les demandes spéciales – par exemple la composition des repas conformément à certains principes religieux ou une assistance physique. En vertu du RGPD, en l’absence d’une décision d’adéquation, les données à caractère personnel peuvent être transférées vers un pays tiers si des garanties appropriées en matière de protection des données sont fournies conformément à l’article 46 du RGPD ou, dans certaines situations, si l’une des conditions de l’article 49 du RGPD est remplie (par exemple, lorsque la personne concernée a donné son consentement explicite au transfert). Les organisations américaines participant au CPD UE — États-Unis assurent une protection adéquate des données à caractère personnel et peuvent donc recevoir des transferts de données de l’Union sur la base de l’article 45 du RGPD, sans avoir à mettre en place un instrument de transfert conformément à l’article 46 du RGPD ou à remplir les conditions de l’article 49 du RGPD. Étant donné que le CPD UE — États-Unis comporte des règles spécifiques concernant les informations sensibles, ce type d’information (pouvant concerner, par exemple, la nécessité, pour un client, de bénéficier d’une assistance physique) peut figurer parmi les données transférées aux organisations participant au CPD UE — États-Unis. L’organisation transférant l’information doit cependant appliquer dans chaque cas la législation nationale de l’État membre de l’Union où elle opère, laquelle législation peut entre autres imposer des conditions spéciales au traitement des données sensibles.
14. Produits pharmaceutiques et médicaux
a. Application de la législation des États membres de l’Union ou des principes
i. La législation des États membres de l’Union s’applique à la collecte des données à caractère personnel et à tout traitement intervenant avant le transfert aux États-Unis. Les principes s’appliquent aux données une fois qu’elles ont été transférées aux États-Unis. Les données utilisées pour la recherche pharmaceutique et à d’autres fins devraient être rendues anonymes le cas échéant.
b. Recherche scientifique future
i. Les données à caractère personnel élaborées dans le cadre d’études médicales ou pharmaceutiques jouent souvent un rôle précieux dans la recherche scientifique. Lorsque les données à caractère personnel collectées pour une étude sont transférées à une organisation des États-Unis en vertu du CPD UE — États-Unis, cette organisation peut utiliser les données pour une nouvelle activité de recherche scientifique s’il a été prévu au départ une notification et un choix approprié. Cette notification doit fournir des informations sur toute utilisation spécifique future des données, telles que le suivi périodique, les études associées ou la commercialisation.
ii. Toutes les utilisations futures des données ne peuvent être spécifiées, puisqu’un nouvel examen des données originales, des découvertes et progrès médicaux nouveaux et des évolutions en matière de santé publique et de réglementation peuvent engendrer de nouvelles utilisations de la recherche. La notification devrait donc inclure, le cas échéant, une indication que les données personnelles peuvent être utilisées pour des activités de recherche médicale et pharmaceutique futures non planifiées à l’avance. Si cette utilisation n’est pas cohérente avec les objectifs de recherche généraux pour lesquels les données à caractère personnel ont été originalement collectées ou auxquels la personne concernée a consenti par la suite, il convient d’obtenir un nouveau consentement.
c. Retrait d’un essai clinique
i. Les participants peuvent à tout moment décider de se retirer d’un essai clinique ou être priés de le faire. Toutes les données à caractère personnel collectées avant le retrait peuvent encore être traitées avec les autres données collectées dans le cadre de l’essai clinique, à condition que cela ait été précisé au participant dans la notification au moment où il a donné son accord.
d. Transferts à des fins de réglementation et de contrôle
i. Les sociétés d’appareils pharmaceutiques et médicaux ont le droit de fournir des données à caractère personnel extraites des essais cliniques réalisés dans l’Union européenne aux autorités des États-Unis à des fins de réglementation et de contrôle. Ce type de transfert vers des parties autres que les autorités de réglementation, telles que des sites de sociétés et d’autres chercheurs, est autorisé en conformité avec les principes «Notification» et «Choix».
e. Études «masquées»
i. Pour garantir l’objectivité de nombreux essais cliniques, l’accès aux informations relatives au traitement reçu par les participants est interdit à ceux-ci et, fréquemment, aussi aux chercheurs. Cela risquerait de compromettre la validité de l’étude et des résultats de la recherche. Un participant à ces essais cliniques (qualifiés d’études «masquées») ne doit pas nécessairement avoir accès aux données relatives à son traitement pendant l’essai si cette restriction lui a été expliquée lorsqu’il a commencé l’essai et si la révélation de cette information était susceptible de nuire à l’intégrité de l’effort de recherche.
ii. L’accord à la participation à l’essai dans ces conditions implique de renoncer au droit d’accès. Après l’achèvement de l’essai et l’analyse des résultats, les participants devraient avoir accès à leurs données s’ils le demandent. Ils devraient le demander, en premier lieu, au médecin ou autre prestataire de soins de santé qui les a traités pendant l’essai clinique ou, en second lieu, auprès de l’organisation commanditaire.
f. Contrôle de la sécurité et de l’efficacité du produit
i. Les sociétés d’appareils pharmaceutiques ou médicaux ne doivent pas appliquer les principes «Notification», «Choix», «Responsabilité en cas de transfert ultérieur» et «Accès» à leurs activités de contrôle de la sécurité et de l’efficacité du produit, y compris le compte rendu d’incidents et le suivi des malades ou sujets recourant à certains médicaments ou dispositifs médicaux, dans la mesure où le respect de ces principes entre en conflit avec les exigences réglementaires. Cela est vrai pour ce qui concerne, par exemple, les rapports effectués tant par les prestataires de soins de santé aux sociétés d’appareils pharmaceutiques et médicaux que par les sociétés d’appareils pharmaceutiques et médicaux à des agences gouvernementales telles que la Food and Drug Administration (organisme de surveillance des aliments et des médicaments).
g. Données codées
i. Les données de la recherche sont toujours codées de manière unique à leur source par le chercheur principal, pour ne pas révéler l’identité des personnes concernées. Les sociétés pharmaceutiques qui commanditent ce type de recherche ne reçoivent pas la clé de ce code. Le code de la clé unique est détenu par le seul chercheur, pour qu’il puisse identifier la personne concernée dans des circonstances spéciales (par exemple, si un suivi médical est requis). Le transfert de l’Union européenne aux États-Unis de données ainsi codées qui constituent des données à caractère personnel en vertu du droit de l’Union serait couvert par les principes.
15. Informations des registres publics et informations accessibles au public
a. Une organisation doit appliquer les principes «Sécurité» et «Intégrité des données et limitation des finalités», ainsi que le principe «Voies de recours, application et responsabilité» aux données à caractère personnel obtenues auprès de sources accessibles au public. Ces principes s’appliquent également aux données à caractère personnel collectées auprès de registres publics (c’est-à-dire des registres conservés par les services des autorités gouvernementales ou d’autres administrations publiques à quelque niveau que ce soit qui peuvent être consultés par tous).
b. Les principes «Notification», «Choix» ou «Responsabilité en cas de transfert ultérieur» ne doivent pas être appliqués aux informations des registres publics si ces dernières ne sont pas combinées à des informations non publiques et si les conditions de consultation établies par la juridiction compétente sont respectées. Les informations accessibles au public ne requièrent pas davantage l’application des principes «Notification», «Choix» ou «Responsabilité en cas de transfert ultérieur», à moins que l’auteur européen du transfert ne précise qu’elles font l’objet de restrictions qui exigent l’application de ces principes lors de leur utilisation par l’organisation. L’organisation ne sera pas tenue responsable de l’utilisation faite de ces informations par ceux qui les tirent de publications.
c. S’il s’avère qu’une organisation a volontairement publié des données à caractère personnel en violation des principes de manière qu’elle-même ou des tiers puissent bénéficier de ces exceptions, elle sera exclue du CPD UE — États-Unis.
d. Le principe «Accès» ne doit pas être appliqué aux informations issues de registres publics tant que ces informations ne sont pas associées à d’autres informations à caractère personnel (à l’exception des quelques informations utilisées pour indexer ou organiser les informations des registres publics). Il convient cependant de respecter les éventuelles conditions de consultation fixées par la juridiction concernée. En revanche, lorsque des informations tirées de registres publics sont associées à d’autres données non publiques (exception faite du cas précisé ci-dessus), l’organisation est tenue d’en permettre l’accès, pour autant que ces informations ne fassent pas l’objet d’autres dérogations.
e. Tout comme dans le cas des informations tirées des registres publics, il n’est pas nécessaire d’accorder l’accès aux informations qui sont déjà à la disposition du public, pour autant que ces informations ne soient pas associées à d’autres données non publiques. Les organisations spécialisées dans la vente d’informations accessibles au public peuvent répondre à des demandes d’accès contre le paiement d’une participation correspondant au montant habituellement demandé par l’organisation. Chacun peut, par ailleurs, obtenir les informations qui le concernent en s’adressant directement à l’organisation qui a compilé les données à l’origine.
16. Demandes d’accès par les autorités publiques
a. Afin d’assurer la transparence à l’égard des demandes licites d’accès à des informations à caractère personnel émanant d’autorités publiques, les organisations participant au CPD UE — États-Unis peuvent, sur une base volontaire, publier périodiquement des rapports de transparence indiquant le nombre de demandes d’informations à caractère personnel reçues de la part d’autorités publiques à des fins de mise en application des lois ou pour des raisons de sécurité nationale, dans la mesure où ces divulgations sont autorisées par la législation en vigueur.
b. Les informations fournies dans ces rapports par les organisations participant au CPD UE — États-Unis, associées aux informations publiées par la communauté du renseignement et d’autres informations, peuvent être utilisées pour éclairer l’examen conjoint périodique du fonctionnement du CPD UE — États-Unis conformément aux principes.
c. L’absence de notification en conformité avec le point a) xii) du principe «Notification» n’entrave pas la capacité d’une organisation à répondre à toute demande licite.